- 企业会议室需同时支持员工投屏 + 访客投屏，但访客投屏不应访问内网（避免敏感信息泄露）
- 3 层权限隔离架构：①SSID 隔离（无线层：员工 WiFi / 访客 WiFi）；②VLAN 隔离（网络层：内网 VLAN / 访客 VLAN）；③Portal 认证（应用层：访客临时账号）
- 必捷 BJ62S/BJ66 双 SSID 支持：员工走内网 SSID 全功能，访客走访客 SSID 仅投屏功能
- MNG8000 集中管控：员工/访客权限矩阵可视化配置，访客会话自动过期清理
- 本文详解 3 层隔离架构、必捷双 SSID 能力、5 类典型场景、隐私合规 5 大要点
一、为什么需要员工访客权限分离
企业会议室混用员工+访客投屏存在 3 大风险：
- 内网数据泄露风险：访客投屏时可扫描内网，获取员工电脑共享文件
- 敏感会议外泄风险：访客通过投屏反向访问正在进行的员工会议画面
- 合规审计缺失风险：访客操作无日志记录，发生泄密事件无法追溯
解决方案：通过 3 层隔离（SSID + VLAN + Portal）实现员工/访客物理隔离。
二、3 层权限隔离架构
| 层级 | 技术 | 必捷方案 |
|---|---|---|
| 无线层 | 员工 WiFi / 访客 WiFi | BJ62S/BJ66 双 SSID |
| 网络层 | 内网 VLAN / 访客 VLAN | 路由器 VLAN 配置 + MNG8000 路由策略 |
| 应用层 | 员工账号 / 访客临时账号 | MNG8000 Portal 认证 + 临时 Token |
架构图：
员工（SSID=BJ-Employee, VLAN=10）→ BJ62S 员工通道 → 内网/投屏全功能
访客（SSID=BJ-Visitor, VLAN=20）→ BJ62S 访客通道 → 仅投屏/无内网
访客（SSID=BJ-Visitor, VLAN=20）→ BJ62S 访客通道 → 仅投屏/无内网
三、必捷双 SSID 能力
| 能力 | 员工 SSID | 访客 SSID |
|---|---|---|
| 认证方式 | 企业账号（AD/LDAP 集成） | Portal 临时账号（短信/微信认证） |
| VLAN | VLAN 10（内网） | VLAN 20（访客） |
| 可访问内网 | ✅ 完整 | ❌ 不可 |
| 可投屏 | ✅ 完整 | ✅ 限制（仅本地投屏，不可远程会议） |
| 会话时长 | 永久 | 1-8 小时（可配置） |
| 审计日志 | 详细（含用户名/IP/Mac） | 简化（含 Mac/会话起止） |
四、5 类典型场景
| 场景 | 隔离策略 | 必捷配置 |
|---|---|---|
| 客户拜访 | 访客仅投屏，1 小时会话 | Portal 短信认证 + 1h 自动过期 |
| 外部讲师培训 | 访客投屏+白板，4 小时会话 | Portal 临时账号 + 4h 过期 |
| 合作伙伴驻场 | 访客投屏+视频会议，8 小时会话 | Portal 微信认证 + 8h 过期 |
| 员工内部会议 | 员工全功能 | 企业 AD 认证 + 永久会话 |
| 跨部门联动 | 跨部门员工互投屏 | 员工 AD 认证 + 跨部门授权 |
五、部署步骤
- 网络层：路由器配置双 SSID + VLAN（员工 VLAN 10 / 访客 VLAN 20）
- 认证层：访客 WiFi 配置 Portal 认证（短信/微信/临时账号）
- 必捷层：MNG8000 配置双 SSID 路由策略，员工/访客走不同 VLAN
- 测试验证：员工账号正常投屏+访问内网，访客账号仅投屏无内网访问
- 应急预案：访客 WiFi 故障时切换至”员工 WiFi 临时授权访客”模式
- 定期审计：每月导出访客会话审计日志，排查异常行为
部署周期：单个会议室 2-3 小时（含路由器配置 + BJ62S/BJ66 配置 + 测试验证）。
六、隐私合规 5 大要点
- 访客告知：Portal 页面需明确告知”访客 WiFi 仅投屏功能，无内网访问权限”
- 会话过期：访客会话最长 8 小时，到期自动清理
- 日志留存：访客会话日志至少留存 6 个月（合规要求）
- MAC 匿名：访客日志中 MAC 地址可匿名化处理（如仅保留前 3 字节）
- 应急撤销：发生异常时管理员可立即撤销访客会话，无需等待过期
常见问题
Q：员工和访客能同时投屏到同一台 BJ66 吗？
A：可以。BJ62S/BJ66 双 SSID 能力支持：员工和访客使用不同 SSID，但都可投屏到同一台设备（大屏分屏显示或按权限排队）。
Q：访客临时账号怎么生成？
A：三种方式：①Portal 短信认证（输入手机号+短信验证码）；②Portal 微信认证（关注公众号一键登录）；③前台人工生成临时账号（适用特殊场景）。
Q：访客会话结束后数据会清理吗？
A：会。MNG8000 在访客会话到期时自动清理：①Portal 临时账号；②BJ62S/BJ66 访客会话缓存；③审计日志可保留（合规要求）。
Q：员工账号被盗怎么办？
A：MNG8000 提供：①账号异常登录告警（异地/异常时段）；②强制下线（管理员一键操作）；③二次认证（高敏感会议）。建议企业 AD 启用多因素认证。
